掌握輸入控制：php.ini中的``request_order''

php.ini中的request_order指令確定將哪些數據源（GET，POST，cookie）合併為$ _request及其優先順序；例如，request_order =“ gp”表示$ _request僅包含get和張貼數據，而在鍵衝突時，郵政為aptriding get;理解這一點至關重要，因為不當使用$ _request會導致安全漏洞，例如意外輸入源或旁路，就像$ _request ['action']允許使用URL觸發的操作（如帳戶刪除）；最佳實踐包括完全避免使用$ _request，明確使用$ _get，$ _ post或$ _cookie，審核php.ini設置，標準化環境，並嚴格驗證所有輸入。

與PHP一起工作時，了解如何處理用戶輸入並在$_GET ， $_POST和$_COOKIE （例如功能和安全性都至關重要的超級全局中）。塑造此行為的密鑰配置是php.ini中的request_order 。該指令直接控制數據最終以$_REQUEST形式進行，並且知道其工作原理有助於您避免錯誤，混亂和潛在的漏洞。

什麼是$_REQUEST ，為什麼request_order很重要？

$_REQUEST是一種php超級全局，默認情況下，將變量從$_GET ， $_POST和$_COOKIE組合到單個數組中。但是，它並不總是包括所有三個。合併了哪些源取決於php.ini中的request_order或variables_order指令。

request_order設置專門定義了$_REQUEST填充的順序和來源。例如：

 request_order =“ GP”

表示$_REQUEST將僅按照該順序包括GET和POST數據。

如果未設置request_order ，則php落後於variables_order ，這不僅會影響$_REQUEST ，還會影響哪些超級全球群體填充。

request_order如何影響變量優先級

request_order最重要的含義之一是可變優先級。由於$_REQUEST合併了來自多個來源的輸入，因此當相同的密鑰中存在相同的密鑰時，可能會出現衝突（例如，通過get傳遞並通過郵政提交的user_id ）。

request_order中指定的訂單確定哪個值贏：

• request_order = "GP" →帖子覆蓋獲取
• request_order = "CG" →獲得覆蓋cookie
• request_order = "GPC" →帖子覆蓋獲得，它覆蓋了cookie

因此，如果您有：

 // url：/page.php?user_id=1
//發布：user_id = 5

然後request_order = "GP" ，然後：

 echo $ _request ['user_id']; //輸出：5

這種行為是微妙但至關重要的 - 尤其是在編寫依賴$_REQUEST的代碼而不意識到cookie或獲取參數可能會被默默覆蓋時。

常見的陷阱和安全含義

使用$_REQUEST而不了解request_order可能會導致實際問題：

• 意外的輸入來源：您可能會認為您正在閱讀帖子數據，但是如果request_order包含get，並且在URL中存在一個參數，則可以使用它。
• 安全旁路：如果您的身份驗證邏輯檢查$_REQUEST['token'] ，攻擊者可能會通過通過get或惡意cookie注入令牌來繞過唯一的期望。
• 跨環境的行為不一致：開發與生產服務器可能具有不同的request_order設置，導致難以復制的錯誤。

例如，考慮此缺陷的代碼：

 if（$ _request ['action'] ==='delete'）{
    deleteaccount（）;
}

如果request_order允許get，請訪問/profile.php?action=delete刪除觸發器刪除 - 不需要表單提交。這是明顯的安全風險。

輸入處理的最佳實踐

為了避免驚喜，請遵循以下準則：

• 除非絕對必要，否則避免$_REQUEST 。明確使用$_GET ， $_POST或$_COOKIE使您的意圖清晰。
• 審核您的php.ini設置。知道設置了什麼request_order 。尋找：

   request_order =“ GP”

  或類似。如果是空的，請檢查variables_order 。

• 標準化環境。確保request_order在開發，分期和生產中保持一致。
• 無論來源如何，都嚴格驗證和消毒輸入。
• 處理敏感操作時，請使用CSRF令牌並檢查請求方法。

概括

php.ini中的request_order指令不僅僅是一種較小的配置，它定義了$_REQUEST行為，影響輸入優先級的影響，並且會默默影響應用程序邏輯和安全性。通過理解和控制此設置，並通過$_REQUEST優先考慮明確的超級全球，可以更好地控制PHP中的輸入處理。

基本上：了解您的request_order ，不要讓PHP猜測您的數據應該來自何處。

以上是掌握輸入控制：php.ini中的``request_order''的詳細內容。更多資訊請關注PHP中文網其他相關文章！